퀸 이매뉴얼·맥더못 데이터 유출, 무엇이 노출됐고 무엇이 미확인인가

미국 대형 로펌 퀸 이매뉴얼(Quinn Emanuel)과 맥더못(McDermott)은 최근 별개의 사이버 보안 사고를 공개했다. 공개된 내용만 보면, 특정 랜섬웨어 조직의 공격이 확인된 사건이라기보다 소셜 엔지니어링과 사용자 계정 침해를 통해 민감한 파일에 접근한 사고에 가깝다. 다만 소송 관련 자료, 사회보장번호, 건강정보 등이 연관돼 있어 영향은 가볍지 않다. 두 로펌은 모두 수사기관에 통보했다고 밝혔다. 3

퀸 이매뉴얼: 머디 워터스 관련 파일 일부 접근

퀸 이매뉴얼은 8월 14일 제3자가 소셜 엔지니어링을 통해 무단 접근을 얻었다고 밝혔다. 소셜 엔지니어링은 시스템 취약점 자체를 뚫기보다, 사람을 속여 계정 정보나 접근 권한을 얻어내는 수법을 말한다.

이 로펌은 8월 25일 행동주의 공매도 투자사 머디 워터스(Muddy Waters) 측 변호사에게 보낸 서한에서, 머디 워터스와 관련된 일부 파일이 접근됐다고 알렸다. 해당 자료는 퀸 이매뉴얼이 별도의 플로리다 소송 과정에서 확보한 문서였다. 3

로펌 측 설명에 따르면 저장 파일이 있는 소프트웨어 애플리케이션 1개에 대해, 일시적으로 침해된 사용자 계정 1개를 통해 무단 접근이 이뤄졌다. 영향받은 고객 문서는 제한적이었고 관련 당사자들에게 통지했다고 밝혔다. 다만 공개 보도만으로는 접근된 전체 파일 수나 영향을 받은 사람 수는 확인되지 않았다. 3

맥더못: 사회보장번호·건강정보 포함, 15명 영향 신고

맥더못도 저장 파일이 있는 소프트웨어 애플리케이션 1개에 대해 일시적으로 침해된 사용자 계정 1개를 통한 무단 접근이 있었다고 신고했다. 규제기관 공시에는 영향을 받은 사람이 15명으로 기재됐다.

노출된 정보에는 미국의 대표적 개인식별번호인 사회보장번호와 건강정보 기록이 포함됐다. 맥더못은 수사기관 통보와 별도로 주(州) 단위 데이터 유출 신고도 진행했다. 또 별도의 보안사고 공지에서 외부 전문업체를 투입해 조사와 영향 파일 분석을 진행했으며, 관리적·기술적 보안 조치를 강화하고 직원 대상 사이버 보안 교육을 추가했다고 밝혔다. 3

아직 확인되지 않은 핵심 사항

두 사건의 공개 자료는 공격자 개인이나 조직을 특정하지 않았다. 두 침해 사고가 연결돼 있는지, 랜섬웨어 또는 데이터 갈취 조직이 개입했는지, 접근된 파일이 공지에 기재된 범위를 넘어 외부로 반출됐는지도 확인되지 않았다.

따라서 현재 확실히 말할 수 있는 공통점은 사용자 계정 하나가 침해돼도 법률 문서와 개인정보에 접근할 위험이 생긴다는 점이다. 두 사건의 배후가 같다는 증거로 해석해서는 안 된다. 3

머디 워터스 자료가 특히 민감했던 이유

퀸 이매뉴얼 사건은 머디 워터스가 이 로펌의 전 고객이었다는 점 때문에 더 주목받았다. 이후 퀸 이매뉴얼은 전동공구 제조업체 테크트로닉 인더스트리스(Techtronic Industries)가 머디 워터스를 상대로 제기한 소송에서 테크트로닉 측을 대리했다.

머디 워터스는 과거 의뢰 관계로 인해 이해상충이 발생했다고 주장하며 퀸 이매뉴얼의 소송대리 배제를 요구했다. 6

텍사스주 오스틴의 연방법원 판사는 이후 퀸 이매뉴얼의 과거 머디 워터스 대리가 이해상충을 만들었다고 판단해 테크트로닉 사건에서 이 로펌을 배제했다. 퀸 이매뉴얼은 항소할 계획이며 이해상충이 없었다는 입장이다. 5

다만 이 판단은 변호사의 직업윤리와 전 고객에 대한 충성 의무에 관한 것이다. 법원 결정이 퀸 이매뉴얼이 사이버 사고를 일으켰다거나, 침입자가 테크트로닉 또는 소송 관계자를 위해 움직였다는 사실을 뜻하지는 않는다. 5

법률업계 전반의 경고 신호, 그러나 ‘단일 캠페인’은 아냐

두 로펌의 공시는 2026년 이어진 다른 법률업계 침해 공개와도 맞물린다. 허버트 스미스 프리힐스 크레이머(Herbert Smith Freehills Kramer)는 5월 말 인지한 사고 후 시스템 일부에 대한 무단 접근이 있었다고 밝혔고, 굿윈 프록터(Goodwin Procter)와 태프트 스테티니어스 앤드 홀리스터(Taft Stettinius & Hollister)도 비슷한 시기 주 규제기관에 침해 사실을 공시했다.

윌머헤일(WilmerHale)은 이름과 사회보장번호 등을 포함한 민감한 개인정보가 사이버 공격으로 노출됐다는 주장과 관련해 연방법원 집단소송 제안을 받았다. 윌머헤일은 법률업계 여러 회사를 겨냥한 무단 제3자가 제한된 정보를 취득했다고 밝혔다.

이 사례들은 로펌이 왜 고가치 표적인지를 보여준다. 단일 계정이나 단일 애플리케이션의 침해만으로도 변호사-의뢰인 비밀이 걸린 소송 문서와 개인식별정보에 닿을 수 있기 때문이다. 그러나 개별 공시만으로 모든 로펌 사건을 하나의 확인된 공격 작전으로 묶을 수는 없다. 공격 주체, 침해 범위, 데이터 반출 여부는 사건별로 따져봐야 한다. 3